OTC(Open Telekom Cloud)与AWS对比之VPC

VPC（Virtual Private Cloud）作为云计算最基础的服务，在云计算使用中有着重要的作用。下面我们对OTC和AWS中的提供的VPC服务进行一下详细的比较。

• 提供的服务种类

OTC：                        AWS：

从数量上来看AWS提供的服务种类更多，下面我们来详细比较一下各个服务

1、VPC

OTC和AWS VPC服务基本相同。推荐的私有IPV4地址范围CIDR块

10.0.0.0/8–24

172.16.0.0/12–24

192.168.0.0/16–24

但AWS支持IPV6，OTC暂时还不支持

2、Subnet

OTC和AWS Subnet服务也基本相同，但OTC可以自定义网关地址。AWS使用默认网关地址。

AWS每个子网 CIDR 块中的前四个 IP 地址和最后一个 IP 地址无法供您使用，而且无法分配到一个实例。例如，在具有 CIDR 块 10.0.0.0/24的子网中，以下五个 IP 地址是保留的：

10.0.0.0：网络地址。

10.0.0.1：由 AWS 保留，用于 VPC 路由器。

10.0.0.2：由 AWS 保留。DNS 服务器的 IP 地址始终为 VPC 网络范围的基址 + 2；但是，我们也保留了每个子网范围基址 + 2 的 IP 地址。有关更多信息，请参阅 Amazon DNS 服务器。

10.0.0.3：由 AWS 保留，供将来使用。

10.0.0.255：网络广播地址。我们在 VPC 中不支持广播，因此我们会保留此地址。

3、Route table

OTC的Route table 是VPC下的一个属性和AWS的route table提供的服务完全不一样

OTC Route table的主要作用是When ECSs in a VPC need to access the Internet, add a route toenable the ECSs to access the Internet through the ECS that has an EIP bound.

Route table 和 SNAT要一起使用来实现没有弹性IP的ECS主机连接internet的功能

To use the route table function provided by the VPCservice, you need to deploy the SNAT function on an ECS to enables other ECSsthat do not have EIPs bound in a VPC to access the Internet through this ECS.

AWS route table 是定义子网路由规则的

示例

AWS route table 可以定义到各种特定网关和连接的路由，包括

Internet 网关的路由表

NAT 设备的路由表

虚拟专用网关的路由表

VPC 对等连接的路由表

VPC 端点的路由表

OTC route table 应该是指实现了 AWS NAT 设备的路由表这一个功能。当然这也可能是因为OTC还未提供其他类型的各种网关

4、Security Group

OTC和AWS安全组功能基本相同。安全组充当实例的虚拟防火墙以控制入站和出站流量。

5、Elastic IP

OTC和AWS弹性IP基本是一样的。OTC提供的弹性IP可以限制带宽。AWS是无带宽限制的。OTC每个账户可以申请的弹性IP数量比较大50个，但AWS只有5个。可能是因为OTC没有internet网关这个服务，ECS连接internet都需要EIP或者通过SNAT。

6、VPC peering

OTC与AWS基本是相同的。

要创建与其他 VPC 之间的 VPC 对等连接，您需要了解以下限制和规则：

您无法在具有匹配或重叠的 IPv4 或 IPv6 CIDR 块的 VPC 之间创建 VPC 对等连接。Amazon 将始终为您的 VPC 分配唯一的 IPv6 CIDR 块。如果您的 IPv6CIDR 块唯一但 IPv4 块不唯一，则无法创建对等连接。

您无法在位于不同区域中的 VPC 之间创建 VPC 对等连接。

VPC 对等不支持传递的对等关系；在 VPC 对等连接中，您的 VPC 无权访问对等 VPC 可能与之对等的任何其他VPC。其中包括完全在您自己的 AWS 账户内建立的 VPC 对等连接。

您不能在相同两个 VPC 之间同时建立多个 VPC 对等连接。

7、×××

OTC和AWS ×××在功能上是一样的。都提供IPsec ×××。

AWS

一项 ××× 连接由以下部分组成。

虚拟专用网关

虚拟专用网关是 ××× 连接在 Amazon 一端的 ××× 集线器。

有关您可以在每个地区设置的虚拟专用网关数目，以及 VPC 的其他组成部分限制的信息，请参见Amazon VPC 限制。

客户网关

客户网关是指 ××× 连接在您这一端的实体设备或软件应用程序。如果创建 ××× 连接，在 ××× 连接您这一端生成流量时，××× 隧道就会启动。虚拟专用网关不是启动程序；您的客户网关必须启动隧道。如果 ××× 连接经历一段空闲时间 (通常为 10 秒，具体取决于配置)，隧道就会关闭。为防止发生这种情况，您可以使用网络监控工具 (如使用 IP SLA) 来生成保持连接 Ping 信号。

AWS 支持硬件设备和软件的实现

AWS支持设备，请参考

https://aws.amazon.com/vpc/faqs/#C9

OTC只有一个设置。

OTC在客户端支持的设备

Due to the symmetryof the tunnel, the ××× parameters configured in the cloud must be the same asthose configured in your own data center. If they are different, the ×××connection cannot be established.

To set up a ×××connection, you also need to configure the IPsec ××× on the router or firewallin your own data center. The configuration method may vary depending on yournetwork device in use. For details, see the configuration guide of the networkdevice.

Which Remote ×××Devices Are Supported?

Table 4-1 lists theHuawei ××× devices supported by the remote end.

Table 4-1 Huawei ×××devices

Supported PeerDevice Description

Huawei USG6000series USG6320/6310/6510-SJJ

USG6306/6308/6330/6350/6360/6370/6380/6390/6507/6530/6550/6570:2048

USG6620/6630/6650/6660/6670/6680

Huawei USG9000 seriesUSG9520/USG9560/USG9580

Other devices thatmeet the requirements in the reference protocols described in section ×××Reference Standards and Protocols can also be deployed. However, some devicesmay fail ××× to add because of inconsistent protocol implementation methods ofthese devices. If the connection setup fails, rectify the fault by followingthe instructions provided in section 4.6 How Can I Handle the ××× ConnectionSetup Failure? Or contact customer service.

下面我们来看一下AWS有而OTC里面没有的VPC服务

8、Network ACL

网络访问控制列表 (ACL) 是 VPC 的一个可选安全层，可用作防火墙来控制进出一个或多个子网的流量。您可以设置网络 ACL，使其规则与您的安全组相似，以便为您的 VPC 添加额外安全层。

安全组与网络 ACL 的比较

下表概述了安全组和网络 ACL 之间的基本差异。

下图展示了由安全组和网络 ACL 提供的安全层。例如，来自Internet 网关的数据流会通过路由表中的路径被路由到合适的子网。与子网相关的网络 ACL 规则控制允许进入子网的数据流。与实例相关的安全组规则控制允许进入实例的数据流。

9、Internet Gateway

Internet 网关是一种横向扩展、支持冗余且高度可用的 VPC 组件，可实现 VPC 中的实例与 Internet 之间的通信。因此它不会对网络流量造成可用性风险或带宽限制。

Internet 网关有两个用途，一个是在 VPC 路由表中为Internet 可路由流量提供目标，另一个是为已经分配了公有 IPv4 地址的实例执行网络地址转换(NAT)。

Internet 网关支持 IPv4 和 IPv6 流量。

10、          NAT Gateway

您可以使用网络地址转换 (NAT) 网关允许私有子网中的实例连接到 Internet 或其他 AWS 服务，但是阻止 Internet 发起与这些实例的连接。

同时AWS也可以使用和OTCSNAT一样的NAT 实例来实现这个功能

NAT 网关和 NAT 实例的区别如下表

11、          DHCP Options Sets

动态主机配置协议 (DHCP) 提供了将配置信息传递到TCP/IP 网络中主机的标准。DHCP消息中的options字段包含配置参数。这些参数包括域名、域名服务器以及“netbios-node-type”。

DHCP 选项集与您的 AWS 账户相关联，因此您可以在所有 Virtual Private Cloud (VPC) 内使用这些选项。

12、          Endpoints

VPC endpoint可让您在您的 VPC 和其他 AWS 服务之间创建私有连接，而无需通过 Internet、NAT 设备、××× 连接或 AWSDirect Connect 进行访问。终端节点是虚拟设备。这些是水平扩展、冗余且具备高可用性的 VPC 组件，使用这些组件可以在VPC 与 AWS 服务中的实例之间进行通信，而不会对网络流量造成可用性风险或带宽限制。

重要

目前，我们仅支持带Amazon S3 的连接终端节点。终端节点只支持 IPv4 流量。

终端节点使 VPC 中的实例能够使用其私有 IP 地址与其他服务中的资源进行通信。您的实例不需要公有 IPv4 地址，并且您的 VPC 中不需要有 Internet 网关、NAT 设备或虚拟私有网关。使用终端节点策略可控制对其他服务中的资源的访问。您的 VPC 和 AWS 服务之间的流量不会脱离 Amazon 网络。

• 一般场景下的组网差别

OTC和AWS一个比较大的差别就是没有Internet Gateway。所以OTC是没有公有子网和私有子网概念的，只能通过SNAT才能实现，无EIP实例接入internet。

场景：带单个公有子网的VPC

此场景的配置包含一个有单一公有子网的 Virtual Private Cloud (VPC)，以及一个 Internet 网关以启用Internet 通信。如果您要运行单一层级且面向公众的 Web 应用程序，如博客或简单的网站。

此情景的配置包括：

具有 /16 IPv4 CIDR 块的 VirtualPrivate Cloud (VPC) (示例：10.0.0.0/16)。提供 65536 个私有 IPv4 地址。

具有 /24 IPv4 CIDR 块的子网 (示例：10.0.0.0/24)。提供 256 个私有 IPv4 地址。

Internet 网关。它将 VPC 连接到 Internet 和其他 AWS 服务。

具有子网范围内 (示例：10.0.0.6) 私有 IPv4 地址的实例，这使该实例可以与 VPC 中的其他实例通信；以及一个弹性 IPv4 地址 (示例：198.51.100.2)，这是使该实例能够从Internet 访问的公有 IPv4 地址。

与子网关联的自定义路由表。路由表条目使得子网中的实例能够使用 IPv4 与 VPC 中的其他实例通信以及在 Internet 上直接通信。与包含指向Internet 网关的路由的路由表关联的子网称作公有子网。

OTC的实现方式